Entrevista a Enrique Ávila director del CNEC para PETEC

1.¿Qué es el CAP? ¿Cuáles son sus funciones?

La Guardia Civil, hace ahora ya 18 años, tuvo la visión de crear una estructura de apoyo a lo toma de decisión conectada con el término prospectiva. Un concepto que no proviene del mundo anglosajón sino del mundo francófono y que, sólo hace muy poco tiempo, ha tomado la relevancia que merece a nivel estatal tras la creación de la Oficina Nacional de Prospectiva y Estrategia responsable, como dice en su página WEB de “analizar los retos y oportunidades que traerán las próximas décadas y de ayudar al país a prepararse para ellos”. Nosotros, desde el CAP, hacemos lo mismo, desde hace ya 18 años, en materia de seguridad.

La prospectiva ha de entenderse como un proceso activo, orientado a realizar las acciones precisas para dirigirnos a un futuro deseado. Un futuro que es modificado por el impacto de nuestras propias acciones, en un proceso sin fin de reevaluación y nueva acción.

Al tiempo, estamos plenamente involucrados en la generación de Cultura de la Seguridad y de la Inteligencia, en su sentido más amplio. Estoy especialmente orgulloso de algo que hemos hecho a lo largo de 2022: la creación de nuestra amiga Casandra. Un avatar conectado a Inteligencia Artificial que, en píldoras de video, de un minuto de duración, intenta explicar conceptos complejos relacionados con el análisis de Inteligencia y la Prospectiva. Sin olvidar, por supuesto, otras series documentales de interés para los y las profesionales del sector y que, espero, les ayuden en sus procesos de generación de Inteligencia.

Además, es Director del Centro Nacional de Excelencia en Ciberseguridad (CNEC).

El Centro Nacional de Excelencia en Ciberseguridad – CNEC es un centro dependiente del ICFS de la UAM (en colaboración con la EPS) dedicado a la formación, entrenamiento, investigación y desarrollo tecnológico de excelencia en materia de ciberseguridad y ciber inteligencia para el incremento de la eficacia de la lucha contra la criminalidad.

Además, forma parte del proyecto puesto en marcha por la Dirección General de Home Affairs de la Comisión Europea en 2009 para dotar a los países miembros de ayudas para la creación de Centros Nacionales de Excelencia en Ciberseguridad con el objetivo de formar la red europea de centros dedicados a la formación y desarrollo tecnológico para la lucha coordinada contra el fenómeno creciente de la cibercriminalidad. Así mismo, esta red forma parte de la Estrategia Europea de Ciberseguridad de la Unión Europea, promovida por la Comisión Europea.

En julio de 2011 el Instituto ICFS optó a este proyecto aunando en su solicitud al Cuerpo Nacional de Policía (Brigada de Investigación Tecnológica), la Guardia Civil (Grupo de Delitos Telemáticos), y al grupo empresarial S21sec.

Un centro que, en los últimos 8 años, ha formado, a alto nivel, a más de 300 agentes y miembros del Mando Conjunto del Ciberespacio, en materias relacionadas con la lucha contra el cibercrimen y el análisis forense de evidencias digitales. Esa es la principal misión de nuestro centro y a ella le dedicamos todos nuestros recursos y esfuerzos.

2.Háblenos un poco más de vd y del proyecto de la National Cyber League de la Guardia Civil

Miembro de la Orden del Mérito de la Guardia Civil, cruz con distintivo blanco, ex Subdirector de la Escuela de Inteligencia Económica. Acaba de recibir el Premio Ciso del año en los Premios Vocento-CIONET.

A lo que hay que sumar entre otras actividades, su incesante apoyo en temas de formación, concienciación de los más jóvenes para convertirlos en guardianes del bien.

Ha sido toda una sorpresa este nombramiento. ¿Lo más importante? Que ha sido un proceso electivo y no selectivo. Han sido mis compañeros y compañeras de profesión, tanto del sector público como del privado los que me han seleccionado como referente en una profesión que, siento decirlo, aún no está suficientemente reconocida siendo central en el modelo que estamos desarrollando. Proteger adecuadamente la información es fundamental en cualquier área de actividad económica y qué decir lo que representa para la protección del Estado y de nuestros derechos y libertades como ciudadanía.

Con respecto a las recompensas obtenidas desde Guardia Civil, no puedo decir sino que no hay mayor honor que pertenecer a la Orden del Mérito de la Guardia Civil, una Institución que, ya en el primer artículo expresa lo que, a mi juicio, debería ser orientación de cualquier norma social y moral: “El honor ha de ser la principal divisa del Guardia Civil; debe por consiguiente conservarlo sin mancha. Una vez perdido no se recobra jamás.”

Con respecto a su segunda pregunta, la NCL es uno de los proyectos que me hacen sentirme especialmente orgulloso: la National CyberLeague GC de la Guardia Civil. Un gran equipo de profesionales de la seguridad, en una gran Institución del Estado, dedicada a proteger y servir a la ciudadanía impulsando un gran proyecto de Ciberseguridad.

3.¿Por qué surge este proyecto y quiénes lo impulsan?

En 2018, aprovechando los 800 años del nacimiento de la Universidad de Salamanca, intentamos poner en valor nuestra experiencia al observar las enormes dificultades a las que se enfrentaban las empresas tras sufrir un ciberataque. Detectamos una ausencia de comunicación entre las capacidades necesarias, a nuestro juicio, para intentar mitigar los efectos de un ciberataque contra cualquier empresa o Administración Pública:

• La parte exclusivamente tecnológica.
• El efecto del posible incumplimiento normativo.
• La deficiente comunicación en situación de crisis.

Así, en ese ya lejano 2018, con la colaboración de la Universidad de Salamanca, pusimos en marcha lo que sería el embrión de la National Cyber de la Guardia Civil.

En 2019, celebramos la primera edición de forma presencial. Nos pusimos en contacto con las universidades de referencia en cada Comunidad Autónoma y le propusimos participar en este reto híbrido.

A pesar de las dificultades logísticas del mismo y de una evidente incomunicación entre las áreas de conocimiento afectadas, conseguimos acudir a todos los retos clasificatorios siguiendo un modelo de jornada basada en la transferencia de conocimiento y la participación en el propio reto.

El objetivo principal de este esfuerzo era el de poner en valor un talento que nos cuesta mucho (muchísimo) formar y que, lamentablemente, perdemos en gran medida al ser captado éste por los competidores cuando no por los enemigos.

Y llegó la pandemia… Y nos planteamos si seguir con el reto. La Guardia Civil, como siempre, tiró de imaginación y, cuando el metaverso no se llamaba metaverso, apostó por usar un mundo virtual para intentar reproducir lo ya realizado en el mundo analógico.

800 competidores aceptaron el reto y logramos reproducir, en gran medida, el modelo de competición híbrido. No sin dificultades. Enormes dificultades en algo que nunca (que tengamos noticias) se había intentado con anterioridad. Pero lo hicimos. Y salimos airosos. Y aprendimos mucho. Y nos dimos cuenta del valor del modelo híbrido para la obtención de conocimiento agregado, desde el punto de vista de la seguridad.

Fue el evento en el actualmente denominado metaverso, que se sepa, más grande celebrado hasta esa fecha… Y como se vio que ese modelo era parcialmente válido, hemos seguido apostando por él en sucesivas ediciones sin, por otro lado, dejar de aprovechar las fases finales para interaccionar de forma directa, a pesar del problema logístico que ello generaba.

Y aparece el tricoin, nuestra criptodivisa interna para realizar los pagos intercambiables por premios… Y, en 2022 nuestros primeros guardias civiles virtuales. En cada edición exploramos una nueva tecnología de interés para la Seguridad Interior. Tecnologías que, entendemos, impactarán socialmente en el futuro y serán escenario de comisión de ilícitos penales.

4.¿Qué nos puede decir de la continuidad de la NCL?

Sin duda, considero que la labor que ya hemos realizado ha de mantenerse en el tiempo. Habrá V edición de la NCL y, como siempre, la adaptaremos a los riesgos, amenazas y evoluciones tecnológicas que vayamos detectando como de interés para la seguridad y que consideremos que debemos afrontar, tanto para aprender como para mostrar el camino a otras organizaciones en este sentido.

Nuestro modelo social se basa en la acumulación de capas de complejidad que, sin duda, es generadora de nichos de empleo especializado pero que precisa de capacidades adaptativas y evolutivas, con el fin de poder anticipar parte de los riesgos y amenazas que genera el propio modelo. Por supuesto, además, ser capaces de aprovechar también las oportunidades del mismo.

La NCL es una herramienta para desplegar una especie de sandbox sobre la que aprender y desarrollar nuevas capacidades.

5.¿Cree que el mal nunca descansa y que se ha sofisticado y ahora trabaja de forma más organizada y veloz por la incursión de Tecnologías como el 5 G que multiplican por 10 la velocidad?

El bien y el mal recorren siempre caminos paralelos. La tecnología es habilitadora, para el mal, de un escenario que se caracteriza, sobre todo, por su tremenda asimetría. En nuestro mundo analógico, causar daños requiere de unas capacidades logísticas, de una voluntad y de un riesgo físico que hace que sean pocos los actores preparados para tomar la decisión de causar daño. En el Ciberespacio, la pseudonimización y esta asimetría de recursos hacen que cualquier actor, incluso uno individual y aislado, pueda generar graves daños a un actor económico o a la ciudadanía, tanto individual como colectivamente. A más velocidad, menos tiempo de respuesta y más inversión en capacidades de defensa y respuesta y, si el actor está organizado y cuenta con recursos, el escenario pinta aún peor.

6.¿Cómo ha evolucionado la Ciberseguridad en estos últimos 5 años?

Como decía, la tecnología, avanza a una velocidad desconocida para las sociedades a lo largo de la historia. La implementamos sin conocerla, sin tener tiempo de evaluar riesgos y amenazas, intentando ser, en un mundo globalizado y competitivo, los más eficientes. ¡Es el negocio, amigos!

Todo ello nos pone en una posición siempre reactiva. No tenemos capacidad de respuesta porque siempre estamos en una loca carrera para intentar asegurar perímetros de seguridad que se vuelven infinitos. Sin capacidad de control sobre el software que desarrollamos, sin capacidad de análisis sobre el hardware que desplegamos, fabricado, habitualmente, en áreas geopolíticas sobre las que no tenemos ningún control, en una loca carrera suicida por vencer en el corto plazo sin importarnos el medio y largo plazos… Ese es el problema de confundir los términos de eficiencia y eficacia. Bajo mi punto de vista, hay sectores críticos que han de mantenerse dentro de criterios de eficacia. Al coste que sea necesario y haciendo saber a la ciudadanía el por qué de ese coste.

Ahora parece que empieza a importarnos y hemos empezado a intentar regular ciertos asuntos relacionados con las infraestructuras críticas o con las complejas cadenas logísticas… Bajo mi punto de vista vamos algo tarde porque ya hay demasiada tecnología desplegada pero intentemos, al menos, resolver el problema cuanto antes.

7.¿A qué desafíos y retos se enfrenta la GC?

La Guardia Civil, como toda organización se enfrenta a problemas internos y externos. Los acelerados procesos de digitalización nos inducen un peligroso sesgo cognitivo relacionado con la primera idea que se nos viene a la cabeza cuando hablamos de ello: Más ordenadores, la nube, el control de la información… La cosa, bajo mi punto de vista, es aún más compleja. Pensemos en el escenario de la adquisición de una enorme flota de coches patrulla. ¿Qué es cada automóvil en la actualidad? Ni más ni menos que una compleja red SCADA, conectada a la red, que está generando un complejo e infinito data ¿para quién? ¿Cómo y quién trata la información generada? ¿Con qué propósito? Siempre aparece la respuesta de la mejora de la eficiencia en la ecuación pero, ¿de verdad queremos que el data de una flota de coches policiales (posicionamiento, tiempo de uso, desgaste de piezas, necesidades de reparación, etc), sea gestionado por un elemento exógeno? ¿Tendríamos capacidad, si decidiésemos lo contrario, de gestionarlo nosotros y de controlar la información?

Ese es el desafío, en el mundo del IoT, al que cualquier organización se enfrenta. La tecnología es un habilitador de información muy valiosa para quien sepa manejarla y convertirla en conocimiento e Inteligencia.

Hacia el exterior, nos enfrentamos a la eclosión de escenarios. Esto ya no va a ser, con todos los problemas y dificultades que conlleva, enfrentarse a lo que ya podríamos denominar “formas clásicas” de los ciberdelitos. ¿Cómo trazamos e investigamos delitos cometidos en esa, aún, rudimentaria WEB 3.0, que nos empeñamos en denominar metaverso? ¿Qué haremos cuando, en realidad, se desarrolle el ecosistema de dispositivos hápticos que, ellos sí, configurarán un metaverso de realidad mixta en el, sin duda y salvo desastre global, nos moveremos muchas horas de nuestra vida analógica?

Por no hablar del desarrollo de la economía DeFi y el impacto que tendrá sobre nuestro modelo económico y social, por supuesto, también sobre su uso para la comisión de ilícitos penales.

Esto no es sino una pequeña muestra del escenario al que nos vamos a tener que enfrentar y para el que necesitaremos desarrollar capacidades propias en talento y, sobre todo, resistir los ataques de DDoS contra ese talento especializado por parte de otros jugadores del tablero global que, ya les anticipo, mirarán con ojos libidinosos, a ese talento especializado.

8.¿Cuál es la mayor amenaza en el plano estratégico del ciberespacio?

Podríamos hablar de las infraestructuras críticas, de la dependencia humana de la tecnología, de los modelos de desarrollo de software con responsabilidad limitada, de los riesgos psicológicos y sociológicos sobre la especie. El conjunto de todo ello, integrado en una escala temporal completamente fuera del rango de nuestras capacidades intelectuales constituye, a mi juicio, la mayor de las amenazas. Nunca, en la historia de la especie, hemos estado sometidos a tanto estrés evolutivo. No creo que, sin la ayuda de un rápido desarrollo de la Inteligencia Artificial, seamos capaz de soportarlo. Y este desarrollo de IA constituye, a su vez un nuevo riesgo que, como no andemos con cuidado, se transformará en una amenaza cierta más pronto que tarde.

9.¿Cómo se ven reflejados valores como el honor, la empatía y la flexibilidad que le definen en los roles que desempeña?

Precisamente, esta pregunta engarza, perfectamente, con lo explicado en la anterior: Hemos trabajado la tecnología desde la perspectiva de la eficiencia y de la generación de negocio y eso, bajo mi punto de vista, ha constituido nuestro mayor error. Al olvidarnos de la filosofía, de la ética, de las normas sociales y morales, al desarrollar nuestro modelo actual, hemos despojado de humanidad a la tecnología. Hemos apostado por el crecimiento desde la falacia de los recursos infinitos y, al menos en esta célula madre que nos contiene, los recursos no son ni pueden ser infinitos. Ello inhabilita la segunda de las falacias: el crecimiento continuo. No, es imposible en un ecosistema cerrado. Si a ello sumamos la pérdida de significado de valores tales como los de solidaridad social, empatía o el honor, el futuro que preveo es oscuro porque, todo este modelo lo trasladaremos a esa Inteligencia Artificial que tomará gran parte de las decisiones sobre ámbitos de nuestras sociedades, cada vez más importantes, precisamente, por eso, por su eficiencia. Y así se cierra el círculo del “inhumanismo”. Mal futuro.

Por eso defiendo la necesidad personal de mantener los valores, el honor y la empatía. Ello es lo que me hace humano y me permite valorar ciertas decisiones desde ese punto de vista humanístico que es el que me gustaría trasladar a eso que la ciencia denomina “supracortex colectivo”, poniendo de manifiesto su valor y su necesidad. Si todos y todas hiciésemos algo parecido, puede que el futuro llegase a ser más amable con la especie.

10.¿Hasta qué punto en esta ecuación una cultura de prevención puede ayudar a frenar y combatir a los ciberdelicuentes?

Ha usado, precisamente, el término que considero correcto: cultura. La formación y la concienciación son herramientas operativamente correctas pero sólo la cultura, entendida como conocimiento y conjunto de valores compartido, habilita un comportamiento social lo suficientemente estable y autocontrolado que minimice la posibilidad de que la otra “cultura”, la del delincuente, las personas o grupos organizados que no respetan las leyes de las que nos dotamos para establecer una organización y un orden social aceptable por la ciudadanía, se imponga, provocando el desastre. Y sí, sé lo que me está preguntando, se refiere a esa cultura organizativa, ese conjunto de normas que habiliten el establecimiento de tácticas y operaciones (dejémonos de tanta estrategia) orientadas a la protección de las estructuras tecnológicas habilitantes de nuestras sociedades complejas. Sí, por supuesto, lo explicado al principio permite un desarrollo ordenado y sano de lo segundo, de tal manera que no sacrifiquemos la libertad en un modelo de seguridad controlador de sociedades. Si desarrollamos una verdadera “cultura social de la ciberseguridad” es posible, sólo posible, que esta ciberseguridad sea integrada, de manera natural, en nuestros modelos sociales democráticos, habilitando nuevos niveles de estabilidad social y evitando la peligrosa conversión de ciudadanos en “clientes” sometidos a un estricto control tecnológico.